Linux Foundation legt meldregels voor incidenten met AI-agents ter consultatie

De Linux Foundation legt met SAFE een meldstandaard voor incidenten met AI-agents ter consultatie, waarin leden een incident binnen vier werkdagen vertrouwelijk melden en getroffen klanten binnen 72 uur waarschuwen.

Voor een Nederlands bedrijf dat agents laat werken in Outlook, een CRM of een betaalstraat verschuift daarmee de vraag die je aan je leverancier stelt. Nu bepaalt die zelf of en wanneer je hoort dat een agent buiten zijn hok stapte. SAFE zet er een klok op. Het voorstel staat als Request for Comments in een publieke repository waar iedereen met issues en pull requests kan reageren; een sluitingsdatum noemt de stichting niet, dus meepraten kan zolang de concepttekst in behandeling is.

Wat meldplichtig wordt

Het gaat niet om "een hack" in het algemeen, maar om een agent die grenzen overschrijdt. Meldplichtig zijn ongeautoriseerde toegang tot of verstoring van systemen van derden, het doorbreken van sandbox-, netwerk-, identiteits-, beleids- of toolgrenzen, toegang tot vertrouwelijke informatie van anderen, en doorgaan met sonderen nadat duidelijk werd dat de actie buiten scope viel. Het concept stelt daarbij dat de bedoeling niet bepaalt of iets gemeld moet worden: een vergissing te goeder trouw valt onder dezelfde regel als een aanval.

De klok in het voorstel

De voorgestelde termijnen lopen van direct tot een kwartaal:

• Direct: de rechtstreeks getroffen organisaties waarschuwen.
• 72 uur: klanten informeren bij geloofwaardige blootstelling.
• 4 werkdagen: een vertrouwelijk incidentrapport indienen bij SAFE.
• 14 dagen: een bredere klantwaarschuwing, als die nodig is.
• 30 dagen: een voorlopig feitelijk rapport publiceren.
• 90 dagen: de status van het herstel publiceren.
• Wekelijks: machineleesbare updates zolang het risico openstaat.

Elk incident wordt vervolgens langs acht lagen gelegd: model, instructies, waarborgen, tools, omgeving, monitoring, menselijk handelen en toeleveringsketen. Dat is een andere manier van kijken dan de gebruikelijke vraag welk model iets fout deed. Bij een agent zit de fout vaker in de rechten die hij meekreeg dan in de gewichten.

Wie er inmiddels meedoet

De alliantie is sinds de start hard gegroeid. Nvidia telt ruim 120 aangesloten organisaties, met Amazon als recente toevoeging, naast namen als Visa, Cloudflare, Okta, Palo Alto Networks, Mistral en Perplexity. Dat is een flinke sprong ten opzichte van de 37 oprichters waarmee Nvidia de Open Secure AI Alliance eind juli startte na de inbraak bij Hugging Face. Aan de RFC zelf schreven Cisco, CrowdStrike, Hugging Face, Nvidia en Red Hat mee.

Twee namen blijven ontbreken: OpenAI en Anthropic zijn nog altijd geen lid, net als bij de oprichterslijst waarop ook Google ontbrak. Dat beperkt de reikwijdte van een meldstandaard die het meeste waard is als juist de grootste modelleveranciers meedoen. Nvidia-topman Justin Boitano zegt dat een open werkgroep naar de sporen moet kunnen kijken wanneer een agent ontsnapt, zo tekende Reuters op.

Naast de meldplichten die er al zijn

SAFE is een vrijwillig verbond en vervangt niets. Leren staat er los van handhaven, schrijven de opstellers, en leden houden hun wettelijke plichten richting toezichthouders. Die plichten zijn in Nederland concreet. Onder de Cyberbeveiligingswet geldt een gefaseerde meldplicht die begint met een vroegtijdige waarschuwing binnen 24 uur via het NCSC-portaal, en de AI-verordening verplicht aanbieders van hoogrisico-AI om ernstige incidenten te melden bij de markttoezichtautoriteit.

Daar zit precies het gat dat SAFE probeert te vullen. Die twee routes lopen naar de overheid en gelden voor een afgebakende groep. Een agent die bij een leverancier uit zijn sandbox breekt en langs de systemen van diens klanten gaat, valt voor veel bedrijven buiten beide. Het voorstel legt de melding daarom bij de sector zelf, met onafhankelijk beheer zodat geen enkele leverancier de bevindingen controleert. Overheden en standaardisatie-organisaties mogen meekijken als waarnemer zonder zeggenschap, en een getroffen organisatie mag feitelijke fouten corrigeren maar heeft geen vetorecht op wat er geleerd wordt.

Wat hier wordt uitonderhandeld is niet techniek maar een gewoonte: wanneer een leverancier je moet bellen als zijn agent bij jouw data kwam. Zolang dat in geen enkel contract staat, is de eerste die het weet ook de enige. Termijnen van 72 uur en vier werkdagen zijn nu nog een concept in een repository, maar zodra ze in inkoopvoorwaarden landen zijn ze de norm waaraan je je AI-leverancier gaat houden. En dat concept ligt op dit moment open voor commentaar.